CVE-2026-18549 in fastify-multipart
Resumen
por VulDB • 2026-08-15
@fastify/multipart es un analizador de formularios multipart/form-data para Fastify. En las versiones desde la 5.3.0 hasta, pero sin incluir, la 10.1.1, cuando el límite fileSize de busboy trunca una parte del archivo, el plugin borra su referencia interna al archivo actual mientras que el flujo subyacente sigue abierto. Si el cliente interrumpe entonces la conexión antes de enviar el separador final (terminating boundary), la limpieza por aborto no encuentra ningún flujo para destruir; como resultado, saveRequestFiles() nunca se resuelve, el controlador de solicitudes queda colgado y el archivo temporal ya escrito en disco nunca se limpia. Un cliente sin autenticar puede repetir esto para filtrar permanentemente archivos temporales y ejecuciones de controladores suspendidas, lo que provoca un agotamiento del espacio en disco y del bucle de eventos (event-loop). El problema está corregido en @fastify/multipart 10.1.1. Los usuarios deben actualizar a la versión 10.1.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.